W połowie lipca br. Trybunał Sprawiedliwości w wyroku w sprawie C-311/18 Facebook Ireland i Schrems stwierdził nieważność decyzji Komisji Europejskiej 2016/1250 ustanawiającej Tarczę Prywatności – program, w oparciu o który mógł być realizowany transfer danych osobowych obywateli UE do podmiotów mających siedzibę w Stanach Zjednoczonych[1]. Konsekwencje wyroku widoczne są zarówno na płaszczyźnie prawnej, jak i biznesowej. Jednak jak dotąd ani w jednej, ani drugiej sferze, nie zaszło wiele zmian. Z tej przyczyny sprawą transferów danych osobowych do USA zajęli się prawnicy z fundacji None of your business (NOYB), działającej z inicjatywy Maxa Schremsa.
Miesiąc po publikacji przez TS wyroku w sprawie C-311/18 Facebook Ireland i Schrems fundacja NOYB poinformowała o złożeniu do krajowych organów nadzorczych 101 skarg na podmioty, które korzystają z usług Google Analytics lub Facebook Connect[2]. Powodów jest kilka: zarówno Google, jak i Facebook nie zaprzestały transferowania danych osobowych, podlegają amerykańskim przepisom umożliwiającym organom publicznym dostęp do transferowanych danych osobowych, a nadto nie zaktualizowały swoich polityk prywatności w odniesieniu do podstaw prawnych transferowania danych z UE do USA. Google Analytics dopiero niedawno zamieścił wzmiankę o unieważnieniu decyzji w sprawie Tarczy Prywatności, podając jednocześnie, że transfer danych będzie kontynuowany w oparciu o standardowe klauzule umowne[3]. Podobną decyzję podjął Facebook[4]. Mimo to nie wydaje się, aby wskazanie innej podstawy prawnej przekazywania danych osobowych do USA w polityce prywatności było dobrym rozwiązaniem, zmierzającym do zapewnienia adekwatnego poziomu ochrony danych osobowych. Jak wskazał TS w ww. wyroku, przyczyną unieważnienia decyzji KE 2016/1250 są przede wszystkim ograniczenia w zakresie ochrony danych osobowych obowiązujące w USA, wynikające z amerykańskiego prawodawstwa, na które podmioty dokonujące transferu danych nie mają wpływu. Wprowadzenie dodatkowych postanowień czy mechanizmów zapewniających właściwy poziom ochrony danych osobowych nie wyłączy prawnych obowiązków nałożonych na odbiorców danych, zlokalizowanych w USA. W praktyce więc powoływanie się na standardowe klauzule umowne może prowadzić do sytuacji, w której podmiot transferujący dane będzie „zmuszony” do niedotrzymania postanowień w nich zawartych.
Z powyższych względów fundacja NOYB zdecydowała się złożyć skargi do krajowych organów nadzorczych. Pięć z wniesionych skarg dotyczy podmiotów prowadzących działalność gospodarczą w Polsce, tj. TVN S.A., Telewizji Polskiej S.A., Grupy Interia.pl, Powszechnej Kasy Oszczędności Banku Polskiego S.A., Onet-RAS Polska Group[5]. Każda skarga jest wniesiona także przeciwko podmiotowi świadczącemu usługi, w ramach których realizowany jest transfer danych, tj. odpowiednio przeciwko Google LLC albo Facebook Ireland Ltd i Facebook Inc. Przygotowane skargi merytorycznie są tożsame – ich autorzy wskazują, że z powodu korzystania z usług Google Analytics lub Facebook Connect dane osobowe skarżącej/skarżącego są przekazywane do USA niezgodnie z prawem, a nadto, że administrator nie jest w stanie zapewnić odpowiedniej ochrony transferowanych danych osobowych. W związku z tym skarżący żądają ustalenia m.in., jakie dane osobowe zostały przekazane przez administratora do USA, innego państwa trzeciego lub organizacji międzynarodowej, na jakiej podstawie wynikającej z RODO transfer danych został oparty, jak również niezwłocznego wprowadzenia zakazu lub zawieszenia wszelkich przepływów danych pomiędzy określonym administratorem a spółką Google lub Facebook oraz o nakazanie zwrotu takich danych do UE/EOG lub innego państwa, które zapewnia odpowiednią ochronę – na mocy art. 58 ust. 2 lit. d), f) i j) RODO. Dodatkowo skargi zawierają wnioski o nałożenie skutecznej, proporcjonalnej i odstraszającej administracyjnej kary pieniężnej.
Skargi zostały co prawda wniesione do każdego krajowego organu nadzorczego, jednak na posiedzeniu plenarnym w dniu 4 września 2020 r. Europejska Rada Ochrony Danych zdecydowała o powołaniu specjalnej grupy roboczej, której zadaniem będzie przeanalizowanie skarg i zapewnienie ścisłej współpracy w trakcie ich rozpoznawania[6]. Jednocześnie Rada oświadczyła, że grupa robocza opracuje także rekomendacje dla administratorów i procesorów transferujących dane osobowe do podmiotów w USA, zawierające wskazówki w zakresie implementacji dodatkowych środków bezpieczeństwa mających na celu zagwarantowanie adekwatnego poziomu ochrony przekazywanych danych osobowych.
[1] Wyrok z dnia 16 lipca 2020 r., ECLI:EU:C:2020:559.
[2] Zob. https://noyb.eu/en/101-complaints-eu-us-transfers-filed (dostęp: 14.09.2020 r.).
[3] Zob. https://support.google.com/analytics/answer/6004245?hl=en&ref_topic=2919631 (dostęp: 14.09.2020 r.).
[4] Zob. https://www.facebook.com/help/566994660333381?ref=dp (dostęp: 14.09.2020 r.).
[5] Lista wszystkich podmiotów, których dotyczą skargi dostępna jest na stronie: https://noyb.eu/en/eu-us-transfers-complaint-overview (dostęp: 14.09.2020 r.).
[6] Zob. https://edpb.europa.eu/news/news_en (dostęp: 14.09.2020 r.).